Checklist de segurança antes de usar inteligência artificial

1. Classifique o dado antes de copiar

Pergunte se o material contém dados pessoais, credenciais, contratos, informações financeiras, código proprietário ou segredo comercial. Se a resposta for sim ou incerta, pare. Use um exemplo fictício ou consulte a política da organização.

Anonimizar não é apenas apagar o nome. Cargo, cidade, cliente e contexto podem reidentificar alguém. Remova combinações desnecessárias e envie o mínimo possível para cumprir a tarefa.

2. Entenda onde o dado será processado

Leia as configurações de retenção, treinamento, compartilhamento e exclusão. Diferencie uma conta pessoal de uma conta empresarial administrada. Confirme região, suboperadores e controles quando isso for exigido pelo seu contexto.

Não presuma que o modo “privado” elimina todos os registros. Guarde a página oficial da política consultada e a data. Serviços mudam; uma avaliação antiga pode deixar de valer.

3. Proteja contas, credenciais e integrações

Ative autenticação em dois fatores e use permissões mínimas. Nunca cole senha, token, chave de API ou código de recuperação em um chat. Em automações, armazene credenciais no cofre da ferramenta, não dentro do fluxo.

Revogue acessos não utilizados e revise integrações periodicamente. Um agente conectado a e-mail, arquivos e calendário tem um impacto maior que um chat isolado; limite ações e peça confirmação antes de enviar, apagar ou publicar.

4. Trate conteúdo externo como não confiável

Páginas, documentos e mensagens podem conter instruções maliciosas para manipular um sistema de IA. Isso é chamado de injeção de prompt. Não permita que conteúdo lido determine sozinho ações sensíveis.

Separe leitura de execução. O sistema pode resumir um documento, mas uma pessoa deve aprovar transferências, mudanças de permissão, envios e exclusões. Use listas permitidas de destinos e limite o alcance de cada integração.

5. Verifique a resposta pelo risco

Para conteúdo cotidiano, confira nomes, números, datas, links e sentido. Para finanças, saúde, direito, segurança ou decisões que afetem pessoas, envolva um especialista e volte às fontes primárias.

Peça citações, mas não confie nelas sem abrir os links. Uma referência pode não existir ou não sustentar a afirmação. Registre quando IA apoiou uma decisão relevante e quem fez a validação final.

6. Tenha saída de emergência

Defina como pausar a automação, revogar acesso e recuperar uma versão anterior. Registre atividades e falhas. Se houver incidente, preserve evidências, interrompa o fluxo e siga o processo de resposta da organização.

Segurança não é um selo permanente. Reavalie quando a ferramenta, o tipo de dado ou o escopo mudar. O NIST organiza gestão de risco em governar, mapear, medir e gerenciar — uma lembrança útil de que o checklist precisa virar rotina.

Checklist de 60 segundos

Antes de enviar: posso compartilhar este dado? removi o que não é necessário? conheço a política? consigo revisar o resultado? o erro seria reversível? Antes de integrar: quais permissões serão dadas? há registro? existe confirmação humana? consigo pausar?

Se uma resposta for “não sei”, não avance por conveniência. Reduza o escopo, use dados fictícios ou peça avaliação adequada. O ganho de alguns minutos não compensa um vazamento ou uma decisão errada.

• Dados mínimos e autorizados.
• Conta protegida e permissões mínimas.
• Fontes abertas e conferidas.
• Revisão proporcional ao impacto.
• Registro, pausa e recuperação definidos.